Eine neue macOS-Bedrohung namens AmnesiaStealer bietet Angreifern eine ungewöhnliche Möglichkeit, gestohlene Browser-Sitzungen zu missbrauchen. Anstatt lediglich Cookies und Passwörter zu stehlen, kann die Malware das Chromium-Browserprofil eines Opfers kopieren und es in einer versteckten Browser-Instanz aus der Ferne steuern.
Die Malware verbreitet sich über ClickFix-Angriffe, bei denen gefälschte GitHub-Downloadseiten zum Einsatz kommen. Opfer erhalten die Anweisung, einen Befehl im Terminal auszuführen. Dadurch wird ein Skript gestartet, das ein passwortgeschütztes ZIP-Archiv mit der schädlichen Payload herunterlädt.
Sicherheitsforscher von Jamf stellten fest, dass die Kampagne eine Verteilungsvorlage verwendet, die bereits zuvor mit den Infostealern Atomic und MacSync in Verbindung gebracht wurde.
Malware zielt auf Browserdaten und macOS-Geheimnisse
AmnesiaStealer nimmt 16 Chromium-basierte Browser ins Visier. Die Malware stiehlt Browserprofile, gespeicherte Anmeldedaten, Cookies, den Browserverlauf, Lesezeichen, Erweiterungen und weitere lokal gespeicherte Browserdaten.
Sie sucht außerdem nach Informationen zu Kryptowährungs-Wallets, Apple Notes, Dokumenten, Telegram-Sitzungen und Systemdetails. Die Malware kann Opfer dazu auffordern, ihr macOS-Passwort einzugeben, und dieses anschließend verwenden, um Daten aus dem Schlüsselbund sowie weitere sensible Informationen zu sammeln.
Die Kampagne erscheint besonders gefährlich, da Browser-Sitzungen häufig authentifiziert bleiben. Angreifer können dadurch möglicherweise auf Online-Konten zugreifen, ohne ein Passwort eingeben oder eine zusätzliche Anmeldeprüfung durchlaufen zu müssen.
Versteckter Browser kopiert authentifizierte Sitzungen
Die Malware enthält eine Komponente namens stream_module. Angreifer rufen sie mit dem Befehl remote_stream ab und nutzen sie, um die Browser-Sitzungen eines Opfers aus der Ferne zu steuern.
Die Komponente kann Profile aus sieben Chromium-basierten Browsern duplizieren, darunter Chrome, Edge, Vivaldi, Arc, Opera, Brave und Chromium. Diese Browser verwenden das Chrome DevTools Protocol sowie ähnliche Startparameter und Methoden zur Cookie-Verschlüsselung.
AmnesiaStealer startet anschließend die legitime ausführbare Browserdatei im Headless-Modus. Die Malware erstellt ein geklontes Profil und öffnet es, ohne dem Opfer ein Browserfenster anzuzeigen.
Über einen WebSocket-Kanal verbindet sich die Malware mit einem von den Angreifern kontrollierten Relay. Die Betreiber können anschließend Websites aufrufen, Schaltflächen anklicken, Text eingeben, Tabs verwalten und durch Seiten scrollen. Außerdem erhalten sie Browser-Statusdaten und Live-Screencast-Bilder aus der versteckten Sitzung.
Chrome DevTools Protocol ermöglicht direkte Kontrolle
Eine zweite Verbindung verknüpft die Malware über die Chrome-DevTools-Protocol-Schnittstelle mit dem lokalen Headless-Browser. Dadurch erhalten Angreifer Zugriff auf Funktionen zur Browserautomatisierung, die normalerweise von Entwicklern genutzt werden.
Mit diesem Zugriff können die Betreiber Cookies exportieren oder importieren und Websites über die bereits authentifizierte Sitzung des Opfers nutzen. Der Angreifer erhält damit praktisch eine aktive Browserumgebung, die weiterhin die Browser-, Geräte- und Netzwerkkennungen des Opfers verwendet.
Jamf erklärte, dass die Fernsteuerungsfunktion deutlich weitreichendere Möglichkeiten bietet als gewöhnlicher Dateidiebstahl. Kriminelle können dadurch direkt mit Online-Portalen interagieren, anstatt sich ausschließlich auf gestohlene Daten zu verlassen.
Fallback-Funktion in macOS 26 kann gespeicherte Daten beschädigen
Die Forscher entdeckten außerdem eine Fallback-Funktion für macOS 26. Wenn die Malware den bestehenden Safe-Storage-Schlüssel von Chrome nicht wiederherstellen kann, ersetzt sie ihn durch einen vom Angreifer bereitgestellten Schlüssel.
Dadurch werden die zuvor gespeicherten Cookies und Passwörter des Opfers dauerhaft unlesbar. Gleichzeitig könnte der Angreifer dadurch weiterhin in der Lage sein, die gestohlenen Daten später zu entschlüsseln.
So schützen Sie sich
Nutzer sollten niemals Terminal-Befehle ausführen, die sie von Websites, Pop-ups oder unbekannten Downloadseiten kopiert haben. ClickFix-Angriffe setzen auf Social Engineering, wobei Angreifer ihre Opfer häufig dazu bringen, die schädliche Aktion selbst auszuführen.
Laden Sie Software ausschließlich aus vertrauenswürdigen Quellen herunter und halten Sie macOS, Browser und Sicherheitsprogramme auf dem neuesten Stand. Wer eine Infektion vermutet, sollte Passwörter von einem sauberen Gerät aus ändern, aktive Sitzungen widerrufen und Browser-Erweiterungen sowie Kryptowährungs-Wallets überprüfen.
Fazit
AmnesiaStealer zeigt, wie macOS-Infostealer über den einfachen Diebstahl von Passwörtern und Cookies hinausgehen. Durch das Klonen von Chromium-Profilen und die Fernsteuerung versteckter Browser-Sitzungen können Angreifer die authentifizierten Konten eines Opfers in Echtzeit nutzen.
0 Kommentare zu „AmnesiaStealer-Malware kapert macOS-Browsersitzungen per Fernsteuerung“